Eine mutmaßliche vierte Angriffswelle hat laut Galaxy Research knapp 389 Bitcoin (BTC) von 462 Adressen bewegt, die mit der Coldcard-Firmware-Sicherheitslücke in Verbindung gebracht werden.
Zentrale Punkte:
- Forscher identifizierten 218 Transaktionen, über die rund 388,93 BTC von 462 mutmaßlichen Opfer-Adressen abgezogen wurden.
- Die zuvor bestätigten Wellen hatten bereits 1.367,05 BTC von 4.585 Adressen abgeräumt – im Gegenwert von rund 88,6 Mio. US-Dollar.
- Coldcard stoppte Auslieferungen, zerstörte verwundbare Lagerbestände und forderte Nutzer auf, neue Seeds zu erzeugen und Gelder zu verschieben.
Coldcard-Bitcoin-Abzug
Alex Thorn, Forschungschef bei Galaxy Research, identifizierte zwischen den Blöcken 960.778 und 960.792 insgesamt 218 Transaktionen, über die 388,93 BTC von 462 verdächtigen Adressen verschoben wurden. Die Aktivität zog sich über etwa zweieinhalb Stunden. Im Schnitt wurden 13,8 solcher „Sweeps“ pro Block beobachtet – rund das 45‑Fache des vor dem Vorfall üblichen Niveaus von 0,3 –, einige Mittel waren bereits in Second-Hop-Wallets weitergeleitet worden.
„Mit hoher Wahrscheinlichkeit handelt es sich hier um Coldcard-Opfer“, sagte Thorn. Das Transaktionsmuster gebe ihm „sehr großes Vertrauen“, dass eine weitere koordinierte Angriffswelle im Gange sei. Die vermutete vierte Welle war zum Zeitpunkt seiner Warnung am Montagmorgen noch nicht offiziell bestätigt.
Thorn wies darauf hin, dass ähnliche Transaktionen weiterhin im Bitcoin-Mempool mit aktivierter Replace-by-Fee-Option liegen. Diese erlaubt es, eine unbestätigte Zahlung durch eine neue mit höherer Gebühr zu ersetzen. So könnten Betroffene unter Umständen Angreifer überbieten, bevor Miner eine der Transaktionen in einen Block aufnehmen.
Coldcard erklärte am Sonntag, man habe den Versand gestoppt und sämtliche Lagerbestände mit der fehlerhaften Firmware vernichtet. Ein Software-Patch schützt jedoch nur Seeds, die nach der Installation generiert wurden. Exponierte Nutzer müssen daher einen neuen Seed erzeugen und ihre Guthaben auf frische Adressen transferieren. Das Unternehmen bat Betroffene, die kompromittierten Geräte aufzubewahren, während die Rechtsabteilung die Zusammenarbeit mit Strafverfolgungsbehörden koordiniert.
Auch lesenswert: Astra versus Claude Opus 5: Einer zerlegt das Problem, der andere behält den Kontext
Risiko für Bitcoin-Wallets
Onchain Lens beziffert die bereits bestätigten Verluste aus den ersten drei Wellen auf 88,6 Mio. US-Dollar. Ein kanadischer Anleger soll Berichten zufolge innerhalb von Minuten rund 1,6 Mio. US-Dollar verloren haben.
Changpeng Zhao, der Gründer von Binance, bekannt als CZ, warnte, dass etablierte Hardware-Wallets ebenfalls Fehler enthalten können, und empfahl, Bestände auf mehrere Geräte zu verteilen. Er räumte ein, dass die Aufsplittung der Gelder wiederum andere Risikoprofile schafft.
Coldcard teilte mit, dass Hersteller anderer Hardware-Wallets, Sicherheitsforscher und Experten für Selbstverwahrung im Zuge der Reaktion Unterstützung und Ressourcen bereitgestellt hätten.
Das Team erklärte, man sei „entschlossen, künftig enger mit der gesamten Branche zusammenzuarbeiten“ – ein Versprechen, das Standards für Wallet-Tests und Offenlegungspflichten beeinflussen könnte.
Der erste große „Sweep“ am 30. Juli leerte innerhalb von 41 Minuten 1.082,65 BTC von 1.196 Adressen. Zwei weitere Wellen erhöhten die bestätigten Verluste anschließend auf 1.367,05 BTC verteilt auf 4.585 Adressen. Coldcard betonte, dass Satscard, Opendime und Tapsigner auf anderer Codebasis laufen und nicht betroffen seien.
Weiterlesen: Warum Ethereum nur 4,9 % dessen behält, was seine Anwendungen tatsächlich einnehmen